Lanceurs d’alerte : concrètement, comment respecter l’obligation de recueil des signalements ?

Lanceurs d’alerte : concrètement, comment respecter l’obligation de recueil des signalements ?

16.03.2018

HSE

Corruption, atteintes à l’environnement, harcèlement moral… depuis le 1er janvier 2018, certaines entreprises ont l’obligation d’être dotées d’un dispositif de recueil des alertes de leurs collaborateurs. Boite mail, courrier postal ou technologie extérieure : comment s’y prendre ?

"Vous avez toute la latitude pour mettre en place ce dispositif". Ce jour de décembre 2017, lors d’une formation en droit de l’environnement à destination de professionnels, une avocate tente de rassurer son auditoire quelque peu inquiet, mais les questions restent en suspens. "Mais alors, créer une boite mail ne suffit pas puisque l’anonymat doit être préservé ?" questionne, dubitative, une "élève". Tentons d’éclaircir la question : qu’impose désormais la loi en matière de lanceurs d’alerte, et qu’est-il possible de faire concrètement ? 

La loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite loi "Sapin II", en plus de définir ce qu'est un lanceur d'alerte, oblige les entreprises d’au moins 50 salariés à mettre en place une procédure de recueil des signalements émis par les membres de leur personnel ou par des collaborateurs extérieurs et occasionnels. Un décret du 19 avril 2017 précise les conditions et modalités de cette procédure, qui doit être mise en place au plus tard le 1er janvier 2018. Sauf exceptions, pour bénéficier d'un statut protecteur, le salarié doit respecter une procédure graduée : ce signalement en interne en est la première étape. Santé publique, environnement, harcèlements sexuel et moral... l'objet de l'alerte est large. 

Cette procédure, diffusée, doit, entre autres, détailler comment l’auteur du signalement adresse son signalement au supérieur hiérarchique, à l’employeur, ou au référent interne (responsable RSE, compliance officer, directeur juridique, responsable d'audit...) ou extérieur à l'entreprise, ou encore, les dispositions prises par l’organisme pour informer l’auteur de la réception de son signalement. La procédure doit garantir "la stricte confidentialité" de l’auteur, "y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement". Confidentialité, et non anonymat, donc. Au contraire, le signalement anonyme ne peut être traité que sous certaines conditions.

Procédure externalisée... ou pas

"La loi Sapin II limite le champ de l’anonymat mais il est permis, par exception, donc il faut en prévoir la possibilité", fait remarquer Claudio Interdonato, de WhistleB. Cette entreprise suédoise commercialise un dispositif de signalement externe. Son représentant en France en vante les mérites : "utiliser toute la technologie de pointe pour s’assurer que toutes les informations sont sécurisées". En résumé, les informations sont envoyées sur un cloud de manière chiffrée puis renvoyées aux responsables de la messagerie qui seuls peuvent les déchiffrer. Même dans le cas d'une alerte anonyme, le mécanisme permet au lanceur d'alerte de dialoguer avec le référent sur la plateforme. Coût du service : environ 4 500 euros par an pour une structure de 1 000 salariés, mais Claudio Interdonato promet des offres plus accessibles pour les plus petites entreprises. D’autres sociétés sont bien sûr présentes sur ce marché. Il n'existe pour le moment pas de certification en la matière (mais la norme ISO 27 001 de sécurité des systèmes d'information).

"Le travers de l’externalisation est que le mécanisme ne soit pas adapté à la réalité de l’entreprise", craint Laurence Cohen, du cabinet Chasseny Watrelot Associés. À l’inverse, gérer la procédure en interne envoie un bon signal aux salariés : la direction est impliquée et refuse la politique de l’autruche. L’avocate associée reconnaît cependant : "une gestion en externe sera peut-être vue comme un gage de neutralité par les salariés". Et encore, tout dépend si l’organisme extérieur a été choisi avec les instances représentatives du personnel ou pas. Laurence Cohen voit une autre limite au traitement en interne : le manque de moyens pratiques, pour les petites entreprises d’à peine plus de 50 salariés surtout.

"Il faut commencer par un recensement de l’existant"

Mais la plupart des entreprises ne partent pas de zéro, fait remarquer l'avocate. Certaines avaient déjà des dispositions, qui prévoyaient des dénonciations similaires à ce que prévoit la loi Sapin II, inscrites dans les accords RPS par exemple. Dans ce cas, les accords peuvent être mis à jour et complétés pour étendre les procédures à tous types de signalement. Pour les autres, "il faut commencer par un recensement de l’existant, conseille l’avocate, elles n’avaient peut-être pas un arsenal sophistiqué mais avaient quand même des mesures pour permettre la remontée des doléances, inscrites dans le document unique par exemple".

La loi permet à l’employeur de décider de la procédure de manière unilatérale. "Quand le contexte le permet, il est recommandé de passer par un accord, mais un accord qui se restreint à la procédure d’alerte serait creux, et un accord plus global n’est pas toujours faisable dans un délai court", recommande Laurence Cohen.

 

Faut-il intégrer la procédure dans le règlement intérieur ?
Le recueil des signalements ne fait pas partie du champ du règlement intérieur tel que défini par l’article L 1321-1 du code du travail. Par conséquent, il n'y a pas obligation d'intégrer la procédure de signalement dans le règlement, sauf si le non-respect de la procédure est susceptible d’entraîner des sanctions disciplinaires.

 

Simple courrier cacheté  

Si l'on opte pour la solution en interne, quel dispositif choisir alors ? Pas de solution miracle, martèle Laurence Cohen, mais "la loi laisse une grande liberté" aux entreprises, donc même celles aux moyens modestes devraient s'en sortir. "Quand il y a une application rapide de la loi comme ici, il faut y aller par pallier et regarder comment améliorer ensuite", relativise-t-elle. Pour l'avocate, un simple courrier cacheté peut par exemple faire l'affaire. Mais comment garantir que la confidentialité est bien assurée ? Laurence Cohen renvoie aux lourdes peines en cas de divulgation de l'identité : deux ans de prison et 30 000 euros d'amende. D'après l'avocate, l'absence d'un dispositif ou son non respect par l'employeur pourra être utilisé comme facteur aggravant lors de contentieux pour manquement à son obligation de sécurité par exemple.

Obligation de sécurité ? C'est que Laurence Cohen, notamment spécialiste des questions de santé au travail, voit dans ce dispositif de la loi Sapin II "un outil de gestion et de prévention" permettant, notamment, d'objectiver "les non-dits dans l'entreprise", selon elle. Elle pense surtout aux situations de harcèlement. D'ailleurs, même s'il peut constituer un piège pour les employeurs, le recueil des alertes pourrait les aider, en leur fournissant de la matière, à engager des procédures disciplinaires contre des salariés coupables d'agissements répréhensibles.

 

Traitement de données personnelles
Les dispositifs d’alerte impliquent le recueil et le traitement de données personnelles, à commencer par l’identité du lanceur d’alerte et celle de la personne visée. Alors que le décret du 19 avril 2017 prévoyait une autorisation de la Cnil (Commission nationale de l'informatique et des libertés) en cas de procédure comportant un traitement automatisé de données, une délibération de la Cnil du 22 juin 2017 ne prévoit qu'une déclaration avec engagement de conformité à la délibération. Si le dispositif de recueil des alertes dépasse le cadre fixé, alors, une autorisation est nécessaire. 

 

HSE

Hygiène, sécurité et environnement (HSE) est un domaine d’expertise ayant pour vocation le contrôle et la prévention des risques professionnels ainsi que la prise en compte des impacts sur l’environnement de l’activité humaine. L’HSE se divise donc en deux grands domaines : l’hygiène et la sécurité au travail (autrement appelées Santé, Sécurité au travail ou SST) et l’environnement. 

Découvrir tous les contenus liés
Pauline Chambost
Vous aimerez aussi